Personal Desktop Firewall

[Ole]

Hallo,

über das Für und Wieder einer Desktop Firewall ist ja schon so einiges im Archiv zu finden. Die Diskussion müssen wir nicht umbedingt noch mal führen :). Ich hab mir das schon gut überlegt :).

Ich soll einer Bekannten (DAU) eine (nach Möglichkeit kostenlose) Desktop Firewall installieren. Die Windows Firewall ist zwar nicht wirklich schlecht, jedoch werden nur eingehende Verbindungen verwaltet. Interessant sind aber auch die ausgehenden, wenn man z.B. an Trojaner denkt.

Da ich nicht persönlich bei ihr vorbei fahren kann (ist ziemlich weit weg) würde ich das gerne via des Remotedesktops machen. Das bringt das nächste Problem mit sich...die Firewall darf nach der Installation nicht sofort aktiviert sein, sonst komm ich ja nicht mehr drauf um sie zu konfigurieren.

Das Ganze ist für Windows XP gedacht.

Hat jemand einen Software-Tipp für mich?

Danke
Ole
(8-)>

[Rouven]

Hello,

Hat jemand einen Software-Tipp für mich?

hehe, na ja, du wolltest kostenlos - Norton Internet Security ist so freundlich nach dem ersten Systemneustart nochmal ungeblockt hochzukommen...

MfG
Rouven

[Ole]

Hi Rouven,

hehe, na ja, du wolltest kostenlos - Norton Internet Security ist so freundlich nach dem ersten Systemneustart nochmal ungeblockt hochzukommen...

Meiner Erfahrung aus der Vergangenheit nach ist das aber wohl das einzig freundliche an Norton Internet Security ;)

Danke
Ole
(8-)>

[Rouven]

Hello,

Meiner Erfahrung aus der Vergangenheit nach ist das aber wohl das einzig freundliche an Norton Internet Security ;)

da hat wohl jeder seine eigene Meinung, wir setzen es in der Firma ein (da allerdings eine Corporate Version), zu Hause habe ich mehrfach NIS und einmal das Konkurrenzprodukt von McAfee gehabt, letzteres hat meine Erwartungen nicht erfüllt, ersteres zumindest hinreichend.

MfG
Rouven

[Raik]

Hallo, Rouven!

... letzteres hat meine Erwartungen nicht erfüllt, ersteres zumindest hinreichend.

:-O du bist ja leicht zufrieden zu stellen!
ich könnte noch einen hausdiener brauchen :-D einen sack stroh, nen trockenen kanten brot und etwas leitungswasser hätte ich noch, wenn du mit ein paar wanzen leben kannst. ;-)

freundl. Grüsse aus Berlin, Raik

[Rouven]

Hello,

:-O du bist ja leicht zufrieden zu stellen!

ich hab da so eine Theorie über das menschliche Leben: Jeder beschließt für sich selbst für einzelne Felder seines Lebens wo seine Bequemlichkeitsgrenze ist. In der Regel erkennt man das daran, dass man bereit ist einen nicht kleinen Betrag dafür zu zahlen, das einem eine teilweise triviale Tätigkeit abgenommen wird. Gerne genommenes Beispiel: Hemden selber bügeln oder für 1-2€ reinigen lassen. Oder Putzen, oder Gartenarbeit.
Bei Norton kriege ich ein All-In-One Paket, das ich einmal bezahle, dann installiere und nach wenigen Klicks eingerichtet habe, von Virenscanner über Spamfilter und Werbeblocker bis Firewall. Das Ding erhöht meinen Komfort merklich und meine Sicherheit zufriedenstellend (da sind wir an dem Punkt: klar könnte ich meinen Rechner auch einfach selbst umkonfigurieren und sonstwas damit anstellen). Ist bei mir eine langjährig gewachsene Sache, fing an, als Windows ME noch keine Firewall hatte (ja, ich weiß, hat es heute auch noch nicht), aber es Zone Alarm gab, dann ging es über selbst oder vom Arbeitgeber bezahlte Nortons und Konkurrenzprodukte zur heutigen Symantec Client Security - die Sache mit dem Router anstelle der Firewall ist ja ganz nett, aber so oft wie ich in der Woche die Netze wechsele und unterschiedliche Profile brauche sind so Netzwerkdetektoren und Profile teilweise gar nicht mal schlecht...
Fazit: ja, ich habe meine Entscheidung getroffen, in _diesem_ Zusammenhang kaufe ich mir Bequemlichkeit.

MfG
Rouven

[Raik]

Hallo, Rouven!

ich hab da so eine Theorie über das menschliche Leben: Jeder beschließt für sich selbst für einzelne Felder seines Lebens wo seine Bequemlichkeitsgrenze ist. ...
Fazit: ja, ich habe meine Entscheidung getroffen, in _diesem_ Zusammenhang kaufe ich mir Bequemlichkeit.

sicher ist es unbequem, die ganze zeit zu stehen. aber ehe ich mich dann einfach auf einen kaktus setze, der meiner bequemlichkeit ja doch ehr abträglich ist, treibe ich dann lieber doch etwas mehr aufwand, um auch wirklichen komfort geniessen zu können.
_was_ du dir da kaufst, ist ja nicht bequemlichkeit in form eines guten ruhekissens, sondern das ignorieren der massiven probleme mit solchen produkten mittels einer augenbinde.
und wenn aus der theorie, dann tatsächlich eine (materielle) gewalt wird (zitat k. marx ;-) ), wirst du für die scheinbequemlichkeit mehrfach drauflegen müssen, um die entstandenen schäden wieder zu beseitigen.
manchmal ist "billig" eben doch teuer ...

freundl. Grüsse aus Berlin, Raik

[Sven Rautenberg]

Moin!

Ich soll einer Bekannten (DAU) eine (nach Möglichkeit kostenlose) Desktop Firewall installieren. Die Windows Firewall ist zwar nicht wirklich schlecht, jedoch werden nur eingehende Verbindungen verwaltet. Interessant sind aber auch die ausgehenden, wenn man z.B. an Trojaner denkt.

Ich glaube nicht, dass eine Personal Firewall da viel bringt.

Resultat wird sein: "Du hast mein Internet kaputt gemacht!" weil die entscheidenden Programme nicht mehr gehen.

Oder die Firewall fragt nach "mysteriös.exe wants to access IP 123.45.67.89 on Port 1234. Grant or deny?", und dein DAU ist mit dieser Fragestellung vollkommen überfordert, stellt aber nach kurzer Gewöhnungsphase fest: Wenn er "grant" klickt, funktioniert sein Internet, wenn er "deny" klickt, dann nicht. Was wird er wohl klicken? (Und solche Frage überfordert doch selbst Experten. Woher weiß man, was diese EXE jetzt wirklich will?)

Also wird er auch jeden blöden Trojaner, der es auf seinen Rechner schafft, durch die Firewall lassen. Sofern der überhaupt so blöd ist und direkt durch die Firewall durch will - üblicherweise nutzt man dafür Programme, die schon durch dürfen, wie z.B. den Internet Explorer, vom Trojaner ferngesteuert.

Investiere deine Zeit lieber in die Ausbildung deines DAUs. Grundsätzlich auf nichts klicken, was per EMail reinkommt - es sei denn, es ist der besondere Fall, dass der Absender bekannt ist und das Attachment angekündigt hat. Und so weiter...

- Sven Rautenberg

[Ole]

Hi Sven,

Resultat wird sein: "Du hast mein Internet kaputt gemacht!" weil die entscheidenden Programme nicht mehr gehen. [...]

Selbst wenn dieser Ausspruch kommen würde (was ich stark bezweifle), würde diese Person nichts machen ohne bei mir nach zu fragen, inkl. Anhänge von E-Mails zu öffnen. Soweit ist die Ausbildung also schon recht weit fortgeschritten ;).

Grüße
Ole
(8-)>

[Sven Rautenberg]

Moin!

Selbst wenn dieser Ausspruch kommen würde (was ich stark bezweifle), würde diese Person nichts machen ohne bei mir nach zu fragen, inkl. Anhänge von E-Mails zu öffnen. Soweit ist die Ausbildung also schon recht weit fortgeschritten ;).

Und wozu brauchst du dann noch die nutzlose Personal Firewall?

- Sven Rautenberg

[Ole]

Hallo Sven,

du bist hartnäckig ;)

Und wozu brauchst du dann noch die nutzlose Personal Firewall?

Um auch Eventualitäten vor zu beugen.

Gruß
Ole
(8-)>

[Sven Rautenberg]

Moin!

du bist hartnäckig ;)

Und wozu brauchst du dann noch die nutzlose Personal Firewall?

Um auch Eventualitäten vor zu beugen.

Welche Szenarien schweben dir vor?

Nochmal zur Erinnerung: Es geht um den Zustand XP-Firewall vs. andere PFW.

- Sven Rautenberg

[Ole]

Hi Sven,

Welche Szenarien schweben dir vor?

z.B. Verseuchter (Trojaner, Schnüffelsoftware, was auch immer) USB-Stick/CD/DVD von Vater/Bruder was auch immer

Nochmal zur Erinnerung: Es geht um den Zustand XP-Firewall vs. andere PFW.

XP-Firewall kümmert sich nur um eingehende Verbindungen, ausgehende werden nicht berücksichtigt.

Grüße
Ole
(8-)>

[Harlequin]

Yerf!

z.B. Verseuchter (Trojaner, Schnüffelsoftware, was auch immer) USB-Stick/CD/DVD von Vater/Bruder was auch immer

Wäre hier ein Virenscanner nicht die bessere Wahl?

XP-Firewall kümmert sich nur um eingehende Verbindungen, ausgehende werden nicht berücksichtigt.

Gegen richtige Schadsoftware hat auch eine PFW keine Chance.

Gruß,

Harlequin

[dicon]

Hi,

Wäre hier ein Virenscanner nicht die bessere Wahl?

Zumindest, wenn es um

z.B. Verseuchter (Trojaner, Schnüffelsoftware, was auch immer)
USB-Stick/CD/DVD von Vater/Bruder was auch immer

geht. Zumal die _PFW_ nicht verhindert, dass von diesen Medien unerwünschte Daten auf den Rechner
kommen.

Sven meinte:

Und es ist ja gerade das Wesen eines trojanischen Pferdes, dass es
dem Benutzer vorgaukelt, harmlos zu sein und erwünschte Dinge zu tun.

Besser wäre, sich garnicht erst einen Trojaner einzufangen - nur dabei hilft die PFW überhaupt nicht.
Kommt der per Mail, bitte WIE soll die PFW den Trojaner erkennen? Der Mailclient bekommt eine OK-Rule,
und damit alles, was über ihn gehandelt wird.

Sven meinte weiter:

Wenn die Software [Schadsoftware] also sagt, sie müsse Netzkontakt haben,

Wenn sie das tut, hast du noch Glück im Unglück. Wenigstens hast du damit noch die Chance, den Kontakt
zu verhindern. Gute Schadsoftware schießt im Zweifel erstmal die PFW ab, egal ob sie als App oder
Prozess läuft, und macht dann ganz entspannt weiter.

Vielleicht noch ein Hinweis: je DAUsicherer die PFW in ihren Versprechungen daherkommt - und
du wirst feststellen, das tun sie alle - desto weniger taugt sie. Es gibt aus meiner Sicht nur einen
wirklichen Grund sich sowas zu installieren: Wenn man etwas über Netzwerkprotokolle, deren
Funktion, über Ports etc. lernen will. 'ne PFW ist ein nettes Spielzeug zum Rumprobieren.

Grüße, dicon

[Sven Rautenberg]

Moin!

Welche Szenarien schweben dir vor?

z.B. Verseuchter (Trojaner, Schnüffelsoftware, was auch immer) USB-Stick/CD/DVD von Vater/Bruder was auch immer

Es ist erwiesenermaßen so, dass eine Personal Firewall nicht davor schützt, dass Software, die dafür programmiert ist und es drauf anlegt, Kontakt nach außen aufnimmt und erhält - und zwar UNBEMERKT.

Und es ist ja gerade das Wesen eines trojanischen Pferdes, dass es dem Benutzer vorgaukelt, harmlos zu sein und erwünschte Dinge zu tun. Wenn die Software also sagt, sie müsse Netzkontakt haben, und die Firewall fragt just dann nach, ob das sein darf, dann wird der DAU den Zugriff auch bei wirklich idiotisch programmierter Software (im Hinblick auf das Austricksen von Firewalls) manuell und willentlich gestatten. Kein Netz = keine Programmfunktion. Da die Programmfunktion aber erwünscht ist, gibts auch Netz. Ob dann auch Kreditkartennummern, Bankkontodaten und Passwörter übermittelt werden, kann eine Firewall selbst dann nicht kontrollieren und verhindern, wenn sie "personal" ist.

Wenn du befürchten mußt, dass derartige Software auf dem Rechner ausgeführt wird, hast du ein Problem, welches durch eine Firewall nicht lösbar ist. Schule deinen DAU so, dass sowas NIE passieren kann.

Andernfalls entstehen falsche Sicherheitsgefühle: "Der Ole hat da ja jetzt was installiert, damit mir nichts passiert - also passiert auch nichts."

Wenn die installierte Lösung aber nicht das tut, was die Verpackung sagt, warum sollte man sich dann diese zusätzliche potentielle Sicherheitslücke installieren (auch Personal Firewalls haben schon eine Historie von Programmfehlern, die Angriffe erst möglich machten).

Nochmal zur Erinnerung: Es geht um den Zustand XP-Firewall vs. andere PFW.

XP-Firewall kümmert sich nur um eingehende Verbindungen, ausgehende werden nicht berücksichtigt.

Richtig. Dasselbe gilt für Personal Firewalls genauso. Die tun auch nur so, als ob sie ausgehende Verbindungen unterbinden könnten - tatsächlich schaffen können sie es nur bei den freundlichen Programmen, die sich an alle Regeln halten. Trojaner und Schadsoftware ist aber nicht freundlich und hält sich nicht an Regeln.

Wenn derartige Software ausgeführt wird, ist ALLES ZU SPÄT. Die Gefahr, dass unbefugt Daten nach außen gesendet werden könnten, ist dabei noch die geringste Gefahr. Der Schreibzugriff auf die Festplatte sollte eigentlich noch dramatischer bewertet werden.

Deshalb - sofern das bisher noch nicht deutlich wurde - der schlichte Tipp: Konzentriere deine Kräfte nicht auf Details, die sinnlos sind. Ein Paketfilter, der eventuell laufende Dienste gegen das Internet abschottet, ist sehr sinnvoll. Damit wird die extern gesteuerte Übernahme des Rechners verhindert. Aber gegen das willentliche oder unbewußte Ausführen von Schadsoftware durch den lokalen Benutzer hilft nur Bewußtmachung des Risikos und Sensibilisierung. Ist die Schadsoftware erst einmal gestartet, greift schon prinzipiell kein Schutz mehr.

- Sven Rautenberg

[dicon]

Hi,

...würde diese Person nichts machen ohne bei mir nach zu fragen,
Und wozu brauchst du dann noch die nutzlose Personal Firewall?

Ganz einfach: weil die _OLE-Personal-Firewall_ zwar nix kostet, aber laufend mit Bier und Chips gefüttert
werden will, und - nicht rund um die Uhr zur Verfügung steht :o)))

Im Ernst: Hände weg von der FW wenn es keinen wirklichen Grund dafür gibt. Ansonsten beschäftigt man sich hier
sehr ausführlich damit. Zwischen den Zeilen der drei "Anleitungen" am Anfang kannst du gut herauslesen,
dass der Sinn von PFW deutlich infrage gestellt wird.

Grüße, dicon

[dicon]

Hallo Ole,

• Windows. XP/Vista?
• Desktop/Mobile Client?
• direkte Verbindung ins i-net / LAN/WLAN?
    Wenn LAN/WLAN, wie sieht ist das gestrickt? (Router, ICS)?

Welche Anforderungen stellst _du_ an die FW außer den genannten noch? Applications-Filter, Packet-Filter?

Wie hoch ist der Sicherheitsbedarf deiner Bekannten? Wenn's nur um Viren und Trojaner geht - muss
es da unbedingt 'ne zusätzliche FW sein? Wie weit könnte sie die FW im Zweifel selbst handeln? Grad am
Anfang werden viele Meldungen hochploppen - schade, wenn sie dann nicht genau weiß, was sie mit einem
schnellen Click bestätigt ;o)

Grüße, dicon

[Ole]

Hi dicon,

• Windows. XP/Vista?

Wie schon geschrieben, XP (ist die Vista FW nicht auch bi-direktional? Meine ich hätte mal was davon gelesen *kopfkratz*)

• Desktop/Mobile Client?

Die Frage verstehe ich grad nicht...kannst du die etwas weiter ausführen? :)

• direkte Verbindung ins i-net / LAN/WLAN?
    Wenn LAN/WLAN, wie sieht ist das gestrickt? (Router, ICS)?

Direkte Verbindung. Rechner -> Modem -> Splitter
Und alles nur für einen Rechner.

Welche Anforderungen stellst _du_ an die FW außer den genannten noch? Applications-Filter, Packet-Filter?

Je olle, je doller ;)...nein, mal im Ernst. Beides wünschenswert.

Wie hoch ist der Sicherheitsbedarf deiner Bekannten? Wenn's nur um Viren und Trojaner geht - muss
es da unbedingt 'ne zusätzliche FW sein? Wie weit könnte sie die FW im Zweifel selbst handeln? Grad am
Anfang werden viele Meldungen hochploppen - schade, wenn sie dann nicht genau weiß, was sie mit einem
schnellen Click bestätigt ;o)

Eine Eigenverwaltung ist in naher Zukunft nicht zu sehen...sie würde allerdings keine Aktion ausführen ohne nicht vorher mindestens einmal mit mir Rücksprache zu halten.
Die Administration des Rechners erfolgt komplett via Remotedesktop (die windowseigene Applikation).

Grüße
Ole
(8-)>

[dicon]

Hi Ole,

Wie schon geschrieben, XP

'schuldige, die Zeile deines Postings hab ich wohl gleich nach dem lesen ausgeblendet ;o)

• Desktop/Mobile Client?
  Die Frage verstehe ich grad nicht...kannst du die etwas weiter ausführen? :)

An Notebooks werden ggf. andere Anforderungen gestellt, z.b. für den Einsatz in anderen Netzwerken oder
allgemein in variabblen Produktivumgebungen. DesktopPCs werden i.d.R. einmal eingerichtet und das
war's dann.

Wie hoch ist der Sicherheitsbedarf deiner Bekannten?

Die Antwort auf diese Frage wäre die wirklich spannende gewesen ;o) Sind das eher psychische Risiken,
vor denen sie beschützt werden will, oder gibt's da harte Gründe. Für letzteres ist eine zusätzlich PFW
das falsche Konzept.

Die Administration des Rechners erfolgt komplett via Remotedesktop (die windowseigene Applikation).

Da haben wir doch schon die erste Schwachstelle ;o)

Wenn wir dich garnicht von der PFW_Idee abbringen können - ich hab unten einen Link gepostet.
Dort findest du u.a. auch jede Menge Hinweise, Erfahrungsbericht, do'nt & does etc. zu
Outpost, Tiny & Co.

Hast du schonmal überlegt, den Rechner deiner Bekannten einfach hinter einen Router zu stellen? Der
macht imo mehr Sinn, erschlägt weitestgehend deine Wünsche, charmanter zu administrieren (noRDP)
und kostet auch nicht mehr die Welt.

Grüße, dicon

[Ole]

Hi

An Notebooks werden ggf. andere Anforderungen gestellt, z.b. für den Einsatz in anderen Netzwerken oder
allgemein in variabblen Produktivumgebungen. DesktopPCs werden i.d.R. einmal eingerichtet und das war's dann.

Achso...ich hatte erst etwas vermutet in der Richtung ob ich mit nem Handy drauf zugreifen will ;)
Geht um ein Desktop-System.

Die Antwort auf diese Frage wäre die wirklich spannende gewesen ;o) Sind das eher psychische Risiken,
vor denen sie beschützt werden will, oder gibt's da harte Gründe. Für letzteres ist eine zusätzlich PFW
das falsche Konzept.

In beiden Fällen sind PFW eigentlich das falsche Konzept ;)

Da haben wir doch schon die erste Schwachstelle ;o)

Wenn der Zugriff nur über eine IP (meine feste) erfolgen darf, dann ist die Schwachstelle nicht ganz so groß. Natürlich gibt es andere Lösungen, aber diese hätten bedeutet, dass sie die Software hätte installieren und konfigurieren müssen. Mit dem Remotedesktop war es dank Windows Live Messenger (jaja, auch so eine Lücke ;)) doch einfacher.

Wenn wir dich garnicht von der PFW_Idee abbringen können - ich hab unten einen Link gepostet.

Bin da schon fleißig am stöbern, danke.

Hast du schonmal überlegt, den Rechner deiner Bekannten einfach hinter einen Router zu stellen? Der
macht imo mehr Sinn, erschlägt weitestgehend deine Wünsche, charmanter zu administrieren (noRDP)
und kostet auch nicht mehr die Welt.

Ist auch angedacht, wenn ich bei nächster Gelegenheit in der Nähe bin. Aber auf die Entfernung einen (wohlmöglich unbekannten) Router einzurichten ist nicht umbedingt meine Stärke. ;)

Gruß
Ole
(8-)>